Bezpečnostní experti ze Symantecu odhalili v pondělí 15. července informace o nové chybě, která může útočníkům zpřístupnit multimediální soubory, zaslané přes komunikační aplikace WhatsApp a Telegram pro Android. Hackeři se touto cestou mohou dostat například k osobním fotografiím nebo dokumentům.
Bezpečnostní díra, označovaná jako „Media File Jacking“, spočívá v tom, že uvedené aplikace ukládají přijaté soubory do paměti zařízení, aby je následně mohly zobrazit v uživatelském rozhraní. Obchází tak end-to-end šifrování, protože se k datům dostává až po jejich přijetí. Chyba ovlivňuje WhatsApp ve výchozím nastavení a Telegram, pokud jsou povoleny některé funkce.
Háček je v tom, že komunikátor WhatsApp používá k ukládání souborů primárně externí úložiště (u Telegramu je tato možnost volitelná), kam se mohou dostat i další aplikace, jež mají příslušné oprávnění. Podstatně bezpečnější by přitom bylo využívání interního úložiště, ke kterému má přístup jen příslušný program.
Až banálně jednoduchá chyba
Chyba překvapuje svou jednoduchostí, nicméně aby mohla fungovat, musí být na zdrojovém nebo cílovém zařízení nainstalován malware, jehož úkolem je získání příslušných souborů. Tato aplikace běží (bez vědomí uživatele) na pozadí a zneužívá objevenou bezpečnostní chybu.
Odborníci připravili video s názornou ukázkou, ve kterém odesílatel posílá kamarádovi svou aktuální fotografii přes WhatsApp. Ta je po přijetí příjemcem uložena do telefonu, kde s ní může škodlivá aplikace dále pracovat – například ji odeslat nebo upravit (zde konkrétně mění tváře na snímku). Škodlivá aplikace může podobným způsobem fungovat i na telefonu odesílatele.
Nebezpečí tohoto způsobu útoku spočívá v tom, jak velké množství uživatelů může postihnout. Komunikační aplikace WhatsApp a Telegram používají dohromady více než 1,5 miliardy lidí po celém světě. Symantec před publikací informoval o svém objevu obě dotčené společnosti – Facebook i Telegram, které se však zatím oficiálně nevyjádřily.
Významná rizika, spočívající v důvěře
Experti na bezpečnost varují především před tím, že při případném zneužití bezpečnostní díry mohou útočníci zneužít a manipulovat se soukromými informacemi. Problémem je, že zásah do soukromé komunikace nemusí uživatelé poznat, neboť si vzájemně důvěřují.
Způsob útoku přes Media File Jacking
Možné scénáře útoku zahrnují například manipulaci s obsahem obrázků, úpravu platebních údajů na faktuře zaslané zákazníkovi či změnu obsahu hlasové zprávy s pomocí technologie hlubokého učení. Útočníci mohou tímto způsobem zasahovat nejen do komunikace mezi jednotlivci, ale také do skupinových chatů.
Je jasné, že žádný kód není imunní vůči zranitelnostem v zabezpečení. Zatímco šifrování typu end-to-end je účinným mechanismem pro zajištění integrity komunikace, nestačí, pokud v kódu existují chyby zabezpečení na úrovni aplikace jako takové.
